Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-117494

Sisense Cloud BI Platformu'nda SVG işleme kaynaklı siteler arası betik çalıştırma (XSS) açığı

Sisense Cloud BI Platform

Yüksek 8,3 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
INCIBE

Yönetici özeti

Bu açık, bulut tabanlı iş zekâsı platformunu kullanan kullanıcıların hesaplarını ve ekranda gördükleri bilgileri tehlikeye atabilir. Saldırı, bir kullanıcının kötü amaçlı bir görseli açmasıyla gerçekleşebildiği için risk orta-yüksek düzeydedir. Üretici henüz bir çözüm yayımlamadığından, kuruluşların ek önlemler almaları ve platformdaki durumu yakından izlemeleri önerilmektedir.

ÖzetTürkçe

Sisense Cloud BI Platformu'nda, /api/v2/ai/sessions API'sine data:image/svg+xml;base64 biçiminde gönderilen SVG görsellerinin işlenmesinde siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. SVG içine gömülü script etiketleri, içerik asistan penceresinde görüntülendiğinde işlenmekte ve JavaScript kodunun çalışmasına izin vermektedir. Açık, bu platformu kullanan kuruluşları etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın tarayıcısında JavaScript kodu çalıştırabilir ve ekranda görüntülenen içeriği değiştirebilir. Bu, oturum bilgilerinin çalınmasına veya kullanıcıyı yanıltıcı içeriklere yönlendirmeye yol açabilir.

Kaynaktaki açıklama (İngilizce)

Cross-Site Scripting (XSS) in the processing of SVG images submitted to the /api/v2/ai/sessions API in the format data:image/svg+xml;base64. Script tags embedded in the SVG are processed when the content is rendered in the assistant window, allowing JavaScript to be executed and the displayed content to be altered.

Üreticinin çözüm notu (İngilizce)

No solution has been reported as yet.

Ne yapmalı?

  1. Üretici henüz bir çözüm bildirmediği için kesin bir sürüm veya yama bilgisi bulunmamaktadır. Üreticinin resmi duyurularını düzenli olarak takip edin. Üretici
  2. Platformda SVG görsel yükleme ve asistan (AI) özelliklerini, mümkünse geçici olarak kısıtlayın veya devre dışı bırakın. Genel öneri
  3. Yetkisiz kullanıcıların platforma görsel veya oturum verisi gönderebilmesini engelleyin; erişimi yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
  4. Yapılandırabiliyorsanız, tarayıcılarda veya uygulama katmanında içerik güvenlik politikası (CSP) uygulayarak satır içi betik çalıştırmayı kısıtlayın. Genel öneri

Ek önlemler

  • Asistan penceresinde veya platformda beklenmedik davranış, yönlendirme veya görüntü değişikliği olup olmadığını izleyin. Genel öneri
  • Kullanıcılara, şüpheli bağlantılar veya görsellerle etkileşime girmeden önce dikkatli olmalarını hatırlatın. Genel öneri
  • Platform oturumlarında kullanılan çerezleri ve oturum sürelerini gözden geçirerek olası hırsızlık riskini azaltın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sisense Cloud BI Platform Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.